決済情報入力の安全性について
iMPeRFでは、昨今のセキュリティ関連のニュースでご不安なお客様にも、安心して作品をお選びいただけるよう、外部の基準と第三者の審査を受けた仕組みでお支払いを処理しています。
ここでは、お買い物のときにお客様の情報がどう守られているかを、公開されている事実をもとにご説明します。
このページの要点
・当ストアの基盤（Shopify）は、国際カードブランドが定めたセキュリティ基準「PCI DSS レベル1」に準拠しています。
・クレジットカードのお支払いは、暗号化通信と、カード会社による本人確認（3Dセキュア）の仕組みで守られています。
・コンビニ払い・スマホ決済・PayPalなども、第三者の評価や保護制度のある仕組みを使っています。
お店の仕組みの安全性は、どう確かめられている？
当ストアは、国際的なセキュリティ基準を満たし、外部の監査レポートが発行されているコマースプラットフォーム「Shopify」を使っています（Shopify公式発表によると、Shopifyで販売する事業者の累計売上は1兆米ドル以上です）。
PCI DSS（レベル1）とは？
クレジットカード情報を安全に扱うための国際基準です。Visa・Mastercard・JCB・American Express・Discoverの5社が2006年に共同で設立した団体（PCI SSC）が定めています。Shopifyはこの基準（v4.0.1）に準拠しています。
Visaの定義では、決済を扱うサービス事業者のうち、年間30万件を超える取引を扱う事業者が「レベル1」です。認定審査員による毎年の審査と、3か月ごとの外部からの点検が求められる、いちばん厳しい確認方法です。
Shopify公式にも「当社のプラットフォームを使用するすべてのShopifyストアは、デフォルトで自動的にPCIに準拠しています。」と書かれています。
SOC 2／SOC 3 とは？
米国公認会計士協会（AICPA）の枠組みに沿って、独立した公認会計士が、会社のセキュリティや機密性、プライバシーの管理体制を調べて出す報告書です。「認証を取る」ものではなく、外部の公認会計士が確かめた結果として、Shopifyには「SOC 2 Type II」と「SOC 3」のレポートが発行されています。
入力した情報は、ネット上でどう守られている？
当ストアのページはHTTPSで通信を暗号化し、途中で盗み見られたり書き換えられたりしないようにしています。
HTTPS（暗号化）とは？
お使いのスマートフォンやパソコンと当ストアの間の通信を、暗号にして届ける技術です。Shopifyが発行するTLS証明書を使っており、お名前やご住所を入力するときも、第三者に内容を読まれたり書き換えられたりしないよう設計されています。
クレジットカードの情報は、どう守られている？
クレジットカードのお支払いは「Shopify ペイメント」で処理しています。暗号化や不正検知に加えて、カード会社が必要と判断したときの本人確認で守られています。
3Dセキュアとは？
ネットでカードを使うときに、カードの持ち主本人が使っているかを確かめる仕組みです。カード会社が必要と判断したときに、パスワードやワンタイムパスワードの入力画面が表示されます。
日本では経済産業省のガイドラインに基づき、ネット通販での本人確認（EMV 3-Dセキュア）の導入が原則として進められています。Shopify ペイメントでは、追加の設定なしで3Dセキュアが自動で働きます（Shopify 日本公式ブログより）。
コンビニ払いやスマホ決済は、どう管理されている？
コンビニ払い・銀行振込・スマホ決済・Paidyのお支払いは、決済サービス「KOMOJU」（株式会社KOMOJU）を通して処理されます。クレジットカードのお支払いは、上のShopify ペイメントで処理されます。
ISMSやプライバシーマークとは？
KOMOJUはPCI DSSに準拠しているほか、ISMS（ISO27001）とプライバシーマークを取得していると公表しています。
ISMS（ISO27001）は、国際基準に沿って情報を正しく管理しているかを、第三者の機関が審査する制度です（運営：ISMS-AC）。プライバシーマークは、個人情報を正しく扱う体制がある事業者に、JIPDEC（一般財団法人日本情報経済社会推進協会）が付けるマークです。
KOMOJUでは、通信の暗号化やアクセスの制限で情報を守り、不正を見つける仕組みも備えています。
PayPalで払うときは？
PayPalアカウントでのお支払いでは、クレジットカード番号や口座番号は当店に渡りません。
また、対象となる取引で商品が届かない場合や、届いた商品が説明と大きく違う場合には、条件付きで返金を受けられる「買い手保護制度」があります。
申請には期限と条件があります。届かない場合は支払いから180日以内、説明と大きく違う場合は配達などから30日以内または支払いから180日以内のうち早いほうです。くわしい条件と対象はPayPal公式ページでご確認ください。
お店の管理画面は、どう守られている？
お客様の情報をお預かりする店の管理画面も、2段階認証で守っています。ログインのときに、パスワードに加えて確認コードの入力を求める設定にして、なりすましのログインを防いでいます。
システムの弱点には、どう備えている？
Shopifyは、外部の専門家が弱点を見つけて知らせる「バグバウンティ」という制度を運営しています。
バグバウンティとは？
システムの弱点（セキュリティ上の脆弱性）を見つけて報告した外部の研究者に、報奨金を払う制度です。社内の点検だけでなく、世界中の専門家の目を借りて、仕組み全体の安全性の向上に役立てています。